Pécs Városi Költségvetési Központi Elszámoló Szervezet 7621 Pécs, Bercsényi u. 3. INFORMATIKAI BIZTONSÁGI SZABÁLYZAT Hatályos: 2014. április 1.
INFORMATIKAI BIZTONSÁGI SZABÁLYZAT A Pécs Városi Költségvetési Központi Elszámoló Szervezet (továbbiakban Elszámolóház) Informatikai Biztonsági Szabályzatát (továbbiakban IBSZ) az információs önrendelkezési jogról és az információszabadságról szóló a 2011. évi CXII. törvény,a polgárok személyi adatainak és lakcímének nyilvántartásáról szóló többször módosított 1992. évi LXVI. törvény, valamint az államtitok és szolgálati titok számítástechnikai védelméről szóló 3/1988. (XI.22.) KSH rendelkezés alapján a következők szerint határozom meg: 1. Az Informatikai Biztonsági Szabályzat célja Az IBSZ alapvető célja, hogy az informatikai rendszer alkalmazása során biztosítsa az Elszámolóháznál és telephelyein az adatvédelem alkotmányos elveinek, az adatbiztonság követelményeinek az érvényesülését, s megakadályozza a jogosulatlan hozzáférést, az adatok megváltoztatását és jogosulatlan nyilvánosságra hozatalát. Az IBSZ célja továbbá: az adat, titok-, munka-, vagyonvédelemre vonatkozó védelmi intézkedések betartása, az üzemeltetett informatikai rendszerek rendeltetésszerű használata, az üzembiztonságot szolgáló karbantartás és fenntartás, az adatok informatikai feldolgozása és azok további hasznosítása során az illetéktelen felhasználásból származó hátrányos következmények megszüntetése, illetve minimális mértékre való csökkentése, az adatállományok tartalmi és formai épségének megőrzése, az alkalmazott programok és adatállományok dokumentációinak nyilvántartása, a munkaállomásokon lekérdezhető adatok körének meghatározása, az adatállományok biztonságos mentése, az informatikai rendszerek zavartalan üzemeltetése, a feldolgozás folyamatát fenyegető veszélyek megelőzése, elhárítása, az adatvédelem és adatbiztonság feltételeinek megteremtése. az informatikai rendszereket érintő veszélyforrások felderítése, a szükséges kockázatelemzés lehetővé tétele, és a védelmi intézkedések meghatározása. A szabályzatban meghatározott védelemnek működnie kell a rendszerek fennállásának egész időtartama alatt a megtervezésüktől kezdve az üzemeltetésükön keresztül a felhasználásig.
A jelen IBSZ az adatvédelem általános érvényű előírását tartalmazza, meghatározza az adatvédelem és adatbiztonság feltételrendszerét. 2. Az IBSZ hatálya 2.1. Személyi hatálya Az IBSZ személyi hatálya kiterjed az Elszámolóház valamennyi fő- és részfoglalkozású dolgozójára. 2.2. Tárgyi hatálya kiterjed a védelmet élvező adatok teljes körére, felmerülésük és feldolgozási helyüktől, idejüktől és az adatok fizikai megjelenési formájuktól függetlenül, az Elszámolóház tulajdonában lévő, illetve az általa bérelt valamennyi informatikai berendezésre, valamint a gépek műszaki dokumentációira is, az informatikai folyamatban szereplő összes dokumentációra (fejlesztési, szervezési, programozási, üzemeltetési), a rendszer- és felhasználói programokra, az adatok felhasználására vonatkozó utasításokra, az adathordozók tárolására, felhasználására 3. Az adatkezelés során használt fontosabb fogalmak érintett: bármely meghatározott, személyes adat alapján azonosított vagy közvetlenül vagy közvetve azonosítható természetes személy; személyes adat: az érintettel kapcsolatba hozható adat különösen az érintett neve, azonosító jele, valamint egy vagy több fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző ismeret, valamint az adatból levonható, az érintettre vonatkozó következtetés; különleges adat: a)a faji eredetre, a nemzetiséghez tartozásra, a politikai véleményre vagy pártállásra, a vallásos vagy más világnézeti meggyőződésre, az érdek-képviseleti szervezeti tagságra, a szexuális életre vonatkozó személyes adat, b) az egészségi állapotra, a kóros szenvedélyre vonatkozó személyes adat, valamint a bűnügyi személyes adat; közérdekű adat: az állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szerv vagy személy kezelésében lévő és tevékenységére vonatkozó vagy közfeladatának ellátásával összefüggésben keletkezett, a személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített információ
vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes jellegétől, így különösen a hatáskörre, illetékességre, szervezeti felépítésre, szakmai tevékenységre, annak eredményességére is kiterjedő értékelésére, a birtokolt adatfajtákra és a működéstszabályozó jogszabályokra, valamint a gazdálkodásra, a megkötött szerződésekre vonatkozó adat; közérdekből nyilvános adat: a közérdekű adat fogalma alá nem tartozó minden olyan adat, amelynek nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét törvény közérdekből elrendeli; adatkezelő: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely önállóan vagy másokkal együtt az adatok kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja; adatkezelés: az alkalmazott eljárástól függetlenül az adatokon végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adatok további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujjvagy tenyérnyomat, DNS-minta, íriszkép) rögzítése; adattovábbítás: az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele; nyilvánosságra hozatal: az adat bárki számára történő hozzáférhetővé tétele; adattörlés: az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk többé nem lehetséges; adatmegjelölés: az adat azonosító jelzéssel ellátása annak megkülönböztetése céljából; adatzárolás: az adat azonosító jelzéssel ellátása további kezelésének végleges vagy meghatározott időre történő korlátozása céljából; adatmegsemmisítés: az adatokat tartalmazó adathordozó teljes fizikai megsemmisítése; adatfeldolgozás: az adatkezelési műveletekhez kapcsolódó technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztől, valamint az alkalmazás helyétől, feltéve hogy a technikai feladatot az adatokon végzik; adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely szerződés alapján beleértve a jogszabály rendelkezése alapján kötött szerződést is adatok feldolgozását végzi; adatfelelős: az a közfeladatot ellátó szerv, amely az elektronikus úton kötelezően közzéteendő közérdekű adatot előállította, illetve amelynek a működése során ez az adat keletkezett; adatközlő: az a közfeladatot ellátó szerv, amely ha az adatfelelős nem maga teszi közzé az adatot az adatfelelős által hozzá eljuttatott adatait honlapon közzéteszi;
adatállomány: az egy nyilvántartásban kezelt adatok összessége; harmadik személy: olyan természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely nem azonos az érintettel, az adatkezelővel vagy az adatfeldolgozóval; rendszergazda: Az Elszámolóháználrendszergazda feladatokat ellátó alkalmazott; 4. Az IBSZ biztonsági fokozata Az Elszámolóház alapbiztonsági fokozatba tartozik. Az Elszámolóház általános informatikai feldolgozást végez. 5. Védelmet igénylő, az informatikai rendszerre ható elemek Az informatikai rendszer egymással szervesen együttműködő és kölcsönhatásban lévő elemei határozzák meg a biztonsági szempontokat és védelmi intézkedéseket. Az informatikai rendszerre az alábbi tényezők hatnak: a környezeti infrastruktúra, a hardver elemek, az adathordozók, a dokumentumok, a szoftver elemek, az adatok, a rendszerelemekkel kapcsolatba kerülő személyek. 5.1. A védelem tárgya A védelmi intézkedések kiterjednek: a rendszer elemeinek elhelyezésére szolgáló helyiségekre, az alkalmazott hardver eszközökre és azok működési biztonságára, az informatikai eszközök üzemeltetéséhez szükséges okmányokra és dokumentációkra, az adatokra és adathordozókra, a megsemmisítésükig, illetve a törlésre szánt adatok felhasználásáig, az adatfeldolgozó programrendszerekre, valamint a feldolgozást támogató rendszer szoftverek tartalmi és logikai egységére, előírásszerű felhasználására, reprodukálhatóságára, a személyhez fűződő és vagyoni jogokra.
5.2. A védelem eszközei A mindenkori technikai fejlettségnek megfelelő műszaki, szervezeti, programozási, jogi intézkedések azok az eszközök, amelyek a védelem tárgyának különböző veszélyforrásokból származó kárt okozó hatásokkal, szándékokkal szembeni megóvását elősegítik, illetve biztosítják. 6. A védelem felelőse A védelem felelőse a rendszergazda. A jelen szabályzatban foglaltak szakszerű végrehajtásáról a rendszergazdának kell gondoskodnia. 6.1. A rendszergazda feladatai ellátja az adatfeldolgozás felügyeletét, ellenőrzi a védelmi előírások betartását, kialakítja a védelmi eszközök alkalmazására vonatkozó döntés elkészítése érdekében a szakterületek bevonásával a biztonságot növelő intézkedéseket, felelős az informatikai rendszerek üzembiztonságáért, biztonsági másolatok készítéséért és karbantartásáért, gondoskodik a rendszer kritikus részeinek újra indíthatóságáról, illetve az újra indításhoz szükséges paraméterek reprodukálhatóságáról, feladata a védelmi eszközök működésének, szerviz ellátás biztosításának folyamatos ellenőrzése, az adatvédelmi tevékenységet segítő nyilvántartási rendszer kialakítása, a Szervezeti és Működési Szabályzat elektronikus adatvédelmi szempontból való véleményezése, az elektronikus adatvédelmi feladatok ismertetése, oktatása, azelektronikus adatvédelmi rendszer érvényesülésének ellenőrzése, felelős az Elszámolóházinformatikai rendszere hardver eszközeinek karbantartásáért, és időszakos hardver tesztjeiért, ellenőrzi a vásárolt szoftverek helyes működését, vírusmentességét, a használat jogszerűségét, a vírusvédelemmel foglalkozó szervezetekkel kapcsolatot tart, a vírusfertőzés gyanúja esetén gondoskodik a fertőzött rendszerek izolálásáról, folyamatosan figyelemmel kíséri és vizsgálja a rendszer működésére és biztonsága szempontjából a lényeges paraméterek alakulását, ellenőrzi a rendszer önadminisztrációját,
javaslatot tesz a rendszer szűk keresztmetszeteinek felszámolására, tevékenységéről rendszeresen beszámol az Elszámolóház igazgatójának. 6.2. A rendszergazda ellenőri feladatai rendszeresen ellenőrzi a védelmi eszközökkel való ellátottságot, előzetes bejelentési kötelezettség nélkül ellenőrzi a telepített szoftverek jogtisztaságát, 6.3. A rendszergazda jogai az előírások ellen vétőkkel szemben felelősségre vonási eljárást kezdeményezhet az intézmény vezetőjénél, bármely érintett szervezeti egységnél jogosult ellenőrzésre, betekinthet valamennyi iratba, ami az informatikai feldolgozásokkal kapcsolatos, javaslatot tesz az új védelmi, biztonsági eszközök és technológiák beszerzésére illetve bevezetésére, adatvédelmi szempontból az informatikai beruházásokat véleményezi. 6.4. A rendszergazda kiválasztása Az alábbi követelményeknek kell megfelelnie: erkölcsi feddhetetlenség, összeférhetetlenség - az adatvédelmi felelős funkció összeférhetetlen minden olyan vezetői munkakörrel, amelyben adatvédelmi kérdésekben a napi munka szintjén dönteni, intézkedni kell. az informatika szintjén: = az informatikai hardver eszközök és a védelmi technikai berendezések ismerete, = üzemeltetésben jártasság, = szervezőkészség. a szakterületre vonatkozó jogi szabályozás ismerete. 7. Az IBSZ karbantartása Az IBSZ-t az informatikában - valamint az Elszámolóháznál - a fejlődés során bekövetkező változások miatt időközönként aktualizálni kell.
Az IBSZ folyamatos karbantartása a rendszergazda, valamint a Jogi és Ügyviteli Osztály feladata. 8. A védelmet igénylő adatok és információk osztályozása, minősítése, hozzáférési jogosultság Az adatok és információk a jelentőségük és bizalmassági fokozatuk szerint osztályozva: közlésre szánt, bárki által megismerhető adatok, minősített, titkos adatok. Az informatikai feldolgozás során keletkező adatok minősítője annak a szervezeti egységnek a vezetője, amelynek védelme az érdekkörébe tartozik. Különös védelmi utasítások és szabályozások nem mondhatnak ellent a törvények és a jogszabályok mindenkori előírásainak. A hivatali titoknak minősülő adatok feldolgozásakor meg kell határozni írásban és névre szólóan a hozzáférési jogosultságot. A kijelölt dolgozók előtt a titokvédelmi és egyéb szabályokat, a betekintési jogosultság terjedelmét, gyakorlási módját és időtartamát ismertetni kell. Alapelv, hogy mindenki csak ahhoz az adathoz juthasson el, amire a munkájához szüksége van. Minősített adatok esetén, az információhoz való hozzáférést a tevékenység naplózásával dokumentálni kell, ezáltal bármely számítógépen végzett tevékenység adatbázisokhoz való hozzáférés, a fájlba vagy mágneslemezre történő mentés, a rendszer védett részeibe történő illetéktelen behatolási kísérlet utólag visszakereshető. A naplófájlokat hetente át kell tekinteni, s a jogosulatlan hozzáférést vagy annak a kísérletét az Elszámolóház igazgatójának azonnal jelenteni kell. A naplófájlok áttekintéséért, értékeléséért a rendszergazda felelős. A titkot képező adatok védelmét, a feldolgozás az adattovábbítás, a tárolás - során az operációs rendszerben és a felhasználói programban alkalmazott logikai matematikai, illetve a hardver berendezésekben kiépített technikai megoldásokkal is biztosítani kell (szoftver, hardver adatvédelem). 9. Az informatikai eszközbázist veszélyeztető helyzetek Az információk előállítására, feldolgozására, tárolására, továbbítására, megjelenítésére alkalmas informatikai eszközök fizikai károsodását okozó veszélyforrások ismerete azért fontos, hogy felkészülten megelőző intézkedésekkel a veszélyhelyzetek elháríthatók legyenek.
9.1. Környezeti infrastruktúra okozta ártalmak Elemi csapás: földrengés, árvíz, tűz, villámcsapás, stb. Környezeti kár: légszennyezettség, nagy teljesítményű elektromágneses térerő, elektrosztatikus feltöltődés, a levegő nedvességtartalmának felszökése vagy leesése, piszkolódás (pl. por). Közüzemi szolgáltatásba bekövetkező zavarok: feszültség-kimaradás, feszültségingadozás, elektromos zárlat, csőtörés. 9.2. Emberi tényezőre visszavezethető veszélyek Szándékos károkozás: behatolás az informatikai rendszerek környezetébe, illetéktelen hozzáférés (adat, eszköz), adatok- eszközök eltulajdonítása, rongálás (gép, adathordozó), megtévesztő adatok bevitele és képzése, zavarás (feldolgozások, munkafolyamatok). Nem szándékos, illetve gondatlan károkozás: figyelmetlenség (ellenőrzés hiánya), szakmai hozzá nem értés, a gépi és eljárásbeli biztosítékok beépítésének elhanyagolása,
a jelszó gyakori (napi, heti) megváltoztatásának az elmulasztása, a megváltozott körülmények figyelmen kívül hagyása, illegális másolattal vírusfertőzött adathordozó behozatala, biztonsági követelmények és gyári előírások be nem tartása, adathordozók megrongálása (rossz tárolás, kezelés), a karbantartási műveletek elmulasztása. A szükséges biztonsági-, jelző és riasztó berendezések karbantartásának elhanyagolása veszélyezteti a feldolgozás folyamatát, alkalmat ad az adathoz való véletlen vagy szándékos illetéktelen hozzáféréshez, rongáláshoz. 10. Az adatok tartalmát és a feldolgozás folyamatát érintő veszélyek 10.1. A rendszerek megvalósítása során előforduló veszélyforrások hibás adatállomány működése, helytelen adatkezelés, programtesztelés elhagyása. 10.2. A működés és fejlesztés során előforduló veszélyforrások emberi gondatlanság, szervezetlenség, képzetlenség, szándékosan elkövetett illetéktelen beavatkozás, illetéktelen hozzáférés, üzemeltetési dokumentáció hiánya. 11. Az informatikai eszközök környezete, azok védelme 11.1. A szerverszoba minimális igénye a szerverszobát a legbiztonságosabb, legvédettebb területre kell telepíteni, váratlan áramkimaradás esetén a szerver(eke)t intelligens UPS sel kell ellátni (szünetmentes tápegység), mellyel az áramkimaradás folyamatosságát biztosítani lehet. gondoskodni kell a szerverszoba klimatizált állapotáról, az ablakok védelméről 11.2. Egyéb vagyonvédelmi előírások az informatikai eszközök rendeltetésszerű működéséért a felhasználó felelős,
a számítógép monitorát úgy kell elhelyezni, hogy a megjelenő adatokat illetéktelen személyek ne olvashassák el. 11.3. Vírus védelem A szerverek és munkaállomások vírusvédelmére az alábbi szabályokat kell betartani: Minden munkaállomásra és azokra a szerverekre, melyek internet kapcsolattal rendelkeznek vírusellenőrző szoftvert kötelező telepíteni. A vírusellenőrző programot leállítani és annak működésébe beavatkozni szigorúan tilos. Vírustalálat esetében a munkát azonnali hatállyal fel kell függeszteni, a számítógépet az adathálózatról le kell választani és meg kell kezdeni az okok feltárását és a helyreállítást. A vírusellenőrző programnak minden újonnan érkezett állománnyal kapcsolatos fájlművelet esetén meg kell vizsgálni az adathordozó tartalmát. Ha az adathordozón a vírusellenőrző program vírust talált, nem engedhet másolást, futtatást, amíg a vírusoktól nem mentesítik az adathordozót. Biztosítani kell a vírusvédelmet ellátó programok, valamint a vírusok adatait tartalmazó állományok rendszeres, gyártó által kibocsátott verziók telepítésével történő mielőbbi frissítését. A felhasználók részéről tilos a vírusellenőrző szoftver beállításainak módosítása. 11.4. Tűzvédelem A szerverszoba és telefonközpont kiszolgáló helyiség a D tűzveszélyességi osztályba tartozik, amely mérsékelt tűzveszélyes üzemet jelent. A tűzvédelem feladatait, sajátos előírásokat az Elszámolóház Tűzvédelmi szabályzata tartalmazza. A menekülési útvonalak szabadon hagyását minden körülmények között biztosítani kell. Az informatikai eszköz elhelyezésére szolgáló helyiségben elektromos vagy más munkát csak a rendszergazda tudtával, ill. engedélyével szabad végezni. A munkaállomásoknál csak a napi munkavégzéshez szükséges mennyiségű gyúlékony anyagot szabad tárolni (pl. leporellót). A szerverszobában és a munkaállomásoknál dohányozni tilos! A szerverszobában, valamint a munkaállomásoknál ételt, italt fogyasztani tilos! A nagy fontosságú, pl. törzsadat-állományokat 1 példányban kell őrizni. Ezen adatállományok kijelölése a rendszergazda feladata.
12. Az informatikai rendszer alkalmazásánál felhasználható védelmi eszközök és módszerek 12.1. A szerverszoba védelme Az informatikai elosztó helyiséget, azaz a szerverszobát biztonsági zárakkal kell felszerelni. A szerverszoba kulcsáta rendszergazda birtokolja, a pótkulcsot a titkárságon kell megőrizni. A szerverszobába történő illetéktelen behatolás tényét az igazgatónak azonnal jelenteni kell. Elemi csapás esetén a szerverszobában bekövetkezett részleges vagy teljes károsodáskor az alábbiakat kell sürgősen elvégezni: menteni a még használható anyagot, biztonsági mentésekről, háttértárakról a megsérült adatok visszaállítása, új adatfeldolgozás, helyiségek kialakítása, archivált anyagok (ill. eszközök) használatával folytatni kell a feldolgozást. 12.2. Hardver védelem A berendezések hibátlan és üzemszerű működését biztosítani kell. A karbantartási munkákat tervezetten, körültekintően és gondosan kell elvégezni. A munkák szervezésénél figyelembe kell venni: a gyártó előírásait, ajánlatait, a tapasztalatokat, a hardver tesztek által feltárt hibákat. Alapgép szétbontását (kivéve a garanciális gépeket) csak a rendszergazda végezheti el. Billentyűzet, monitor, nyomtató cseréjének idejét dokumentálni kell. 12.3. Az informatikai feldolgozás folyamatának védelme 12.3.1. Az adatrögzítés védelme adatbevitel hibátlan műszaki állapotú berendezésen történjen, tesztelt adathordozóra lehet adatállományt rögzíteni, az adatrögzítés szoftver védelme: biztosítani kell a rögzített tételek visszakeresésének és javításának lehetőségét, hozzáférési lehetőség: = a bejelentkezési azonosítók használatával kell szabályozni, hogy ki milyen szinten férhet hozzá a kezelt adatokhoz. (Alapelv: a tárolt adatokhoz csak az illetékes szervezeti egységek személyei férjenek hozzá). = a szerver(ek) rendszergazda jelszavát és az operációs rendszerek rendszergazda jelszavát lezárt borítékban, zárható szekrényben kell tárolni
(Munkaügyi Osztály páncélszekrényében). A boríték felbontását dokumentálni kell. 12.3.2. Selejtezés, sokszorosítás, másolás Bizalmas adatokat, felhasználói és rendszerprogramokat tartalmazó adathordozókról törlő programokkal kell törölni, vagy fizikailag kell megsemmisíteni az adathordozót. Biztonsági illetve archív adatállomány előállítása másolásnak számít. 12.3.3. Leltározás Az adathordozókat a Leltározási és leltárkészítési szabályzatban foglaltaknak megfelelően kell leltározni. 12.3.4. Mentések, file-ok védelme Az informatikában a legnagyobb értéket a számítógépen tárolt adatok jelentik. Ezek védelmében meghatározó jelentőségű a biztonsági másolatok készítése. A mentések folyamata: A mentéseket naponta, központi mentő szoftverrel kell végrehajtani. A mentésből a rendszerek, a szoftverkörnyezet beállításainak, valamit a tárolt adatoknak teljes körűen visszaállíthatónak kell lennie a mentés pillanatának állapotára. A szerverek mentését legalább naponta, illetve a hálózati aktív eszközökét a beállítás változtatásakor kell elvégezni. A mentett adatokhoz csak a rendszergazda jogosulthozzáférni. Az adatállományok file-védelme során gondoskodni kell arról, hogy azok ne károsodjanak. A fontosabb file-okat tartalmazó adattárolókról másolatot kell időnként készíteni (szerveren). 12.4. Szoftver védelem 12.4.1. Rendszerszoftver védelem Az üzemeltetésért felelős rendszergazdának biztosítani kell, hogy a rendszerszoftver naprakész állapotban legyen és a segédprogramok, programkönyvtárak mindig hozzáférhetők legyenek a felhasználók számára. Teendők a következők: név szerint kell kijelölni azokat a személyeket, akik a rendszerszoftverben módosításokat végezhetnek (mindenkori rendszergazda)
12.4.2. Felhasználói programok védelme Programhoz való hozzáférés, programvédelem. Az Elszámolóháznál, illetve telephelyein az ügyintézők használatában lévő, munkavégzéshez szükséges jelszavak nem minősülnek az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 3. 2. pontja szerinti személyes adatnak.,az ügyintézők által használt jelszavakat kötelező a munkáltató rendelkezésére bocsátani. Minden felhasználónak jelszóval kell védenie a programját. Ezeket a jelszavakat illetéktelen személyektől gondosan védeni kell. A felhasználó a kizárólagos hozzáférés biztonsága érdekében háromhavonta köteles jelszavait lecserélni. A jelszó nem írható le semmilyen jól látható, vagy könnyen hozzáférhető helyre. Az illetéktelen hozzáférést meg kell akadályozni, az illetéktelen próbálkozást ki kell zárni. Gondoskodni a jelszavaknak lezárt borítékban, tűzbiztos lemezszekrényben történő elhelyezéséről. A felhasználó távolléte esetén közvetlen felettese az ügyintézés folyamatossága érdekében a lezárt borítékot felbonthatja, a jelszavakat megismerheti, valamint más felhasználó rendelkezésére bocsáthatja. A jelszavakat tartalmazó lezárt borítékokat a Munkaügyi Osztály páncél szekrényében kell tartani, Gondoskodni kell arról, hogy a tárolt programok, file-ok ne károsodjanak, a követelményeknek megfelelően működjenek. Lokális gépekre programot csak a rendszergazda tudtával lehet telepíteni. Az operációs rendszer, valamint az irodai szoftvercsomag telepítést dokumentálni kell. A dokumentálásnak tartalmaznia kell azt, hogy milyen programot, mikor és ki telepített fel a számítógépre. A feldolgozás biztonságának megvalósításához naprakész állapotban kell tartani a program dokumentációt. A programokról nyilvántartást kell vezetni, amelynek az alábbi adatokat kell tartalmaznia: - a program azonosítója, - a program készítőjének neve, - a feldolgozási rendszer megnevezése. A program dokumentáció a rendszerdokumentációnak része. Programok megőrzése, nyilvántartása a nyilvántartásra kötelezett programokról naprakész nyilvántartást kell vezetni,
a nyilvántartásból egyértelműen megállapítható legyen a program azonosítására és kezelésére vonatkozó adatok. A programok nyilvántartásáért és működőképes állapotban való tartásáért a rendszergazda felelős. 13. A központi számítógép(ek) és a hálózat munkaállomásainak működésbiztonsága 13.1. Központi gépek (Server) Szünetmentes áramforrást kötelező használni, amely megvédi a berendezést a feszültségingadozásoktól, áramkimaradás esetén adatvesztéstől. A központi gépek háttértárairól hetente egy teljes, a többi napon különbségi biztonsági mentést kell készíteni. A mentéseket heti egy alkalommal külső adattároló egységre kell másolni. Az így keletkezett heti mentéseket 5 évig meg kell őrizni. 13.2. Munkaállomások (USER-ek) A hálózatra idegen programot, adatot másolni csak a rendszergazdával történt egyeztetés után lehet. Külső helyről hozott, vagy kapott anyagokat ellenőrizni kell vírusellenőrző programmal.(automatikus ellenőrzés funkciót be kell állítani) Vírusfertőzés gyanúja esetén a rendszergazdát azonnal értesíteni kell. Az intézmény informatikai eszközeiről programot a jogos, belső felhasználói igények kielégítésein kívül nem szabad másolni. Adatállományokat másolni az adatvédelmi jogszabályok figyelembevételével szabad. A hálózati vezeték és egyéb csatoló elemei rendkívül érzékenyek, mindennemű sérüléstől ezen elemeket meg kell óvni. A hálózat vezetékének megbontása szigorúan tilos. Az informatikai eszközt és tartozékait helyéről elvinni a rendszergazda tudta és engedélye nélkül nem szabad. A munkaállomások tekintetében az alábbi rendelkezést is be kell tartani: Ha a felhasználó munkaviszonya megszűnik, új felhasználó beiktatását követően felhasználói azonosítóját meg kell szüntetni. 14. Internet hozzáféréssel kapcsolatos intézkedések Az internet eléréseket biztosító számítógépekre a helyi hálózatra nem kapcsolódó munkaállomásokra vonatkozó szabályok érvényesek.
Az internetes gépen minden esetben működtetni kell a vírusvédelmet. A vírusok és az illetéktelen hozzáférések miatt tűzfalat kell konfigurálni. (központi beállítással) A dolgozók részére történő internetes hozzáférhetőséget, az azon való keresés kiterjesztését az Elszámolóház igazgatója engedélyezi. 14.1. Az internethasználat szabályai: Tilos a munkahelyi Internet kapcsolaton keresztül minden olyan program és egyéb fájl letöltése, ami nem a munkavégzéshez szükséges. Az igazgató utasítására a rendszergazda jogosult az Internet kapcsolat sávszélességének és forgalmának ellenőrzésére, korlátozására, amennyiben azt konkrét észrevétel indokolja. 15. Ellenőrzés A rendszergazda által végzett ellenőrzésnek elő kell segíteni, hogy az informatikai rendszerben meglévő veszélyhelyzetek ne alakuljanak ki. A kialakult veszélyhelyzet eseténcél a károk csökkentése, illetve annak megakadályozása, hogy az megismétlődjön. A folyamatba épített előzetes, utólagos és vezetői ellenőrzés során az IBSZ rendelkezéseinek betartását a szervezeti egységek vezetői folyamatosan ellenőrzik. 16. Záró rendelkezések Az Informatikai Biztonsági Szabályzatban érintett dolgozók, különösen a rendszergazda feladatait ellátó dolgozó munkaköri leírásába be kell építeni a szabályzatban előírt feladatokat. A szabályzatot jogszabályi vagy szervezeti változás esetén módosítani kell. Az Informatikai Biztonsági Szabályzat 2014. április 1 naptól lép hatályba, mellyel egyidejűleg a 2013. év június hó 1. napjával hatályos szabályzat hatályát veszti. Pécs, 2014. április 1. Borbás Károly igazgató